malaya-m/cve-2013-3900-remediation-reportGuía de remediación paso a paso para la vulnerabilidad CVE-2013-3900 de WinVerifyTrust en Windows Server 2019, incluyendo la corrección del registro, el reinicio y la verificación mediante escaneo credencializado de Nessus.
Durante una evaluación de vulnerabilidades autenticada reciente realizada con Tenable Nessus, se detectó CVE-2013-3900 en una máquina virtual con Windows Server 2019 alojada en Microsoft Azure. Este escaneo aprovechó credenciales administrativas, lo que permitió una inspección profunda de la configuración del sistema y las entradas del registro.
El problema se origina en una falla en la forma en que Windows maneja la validación de firmas a través de la función WinVerifyTrust. Al explotar esta vulnerabilidad, un actor malicioso podría eludir las comprobaciones de integridad añadiendo datos a archivos ejecutables firmados, lo que podría llevar a la ejecución de código no confiable bajo la apariencia de una firma válida. (Fuente: Microsoft)
Para abordar este problema, Microsoft recomienda habilitar la configuración de registro EnableCertPaddingCheck. Esto impone una validación más estricta y evita la aceptación de archivos PE con relleno incorrecto.
cmd, haga clic derecho y seleccione Ejecutar como administradorUtilice los siguientes comandos para modificar los valores del registro tanto para los subsistemas de 64 bits como de 32 bits:
reg add "HKLM\Software\Microsoft\Cryptography\Wintrust\Config" /v EnableCertPaddingCheck /t REG_DWORD /d 1 /f
reg add "HKLM\Software\Wow6432Node\Microsoft\Cryptography\Wintrust\Config" /v EnableCertPaddingCheck /t REG_DWORD /d 1 /f
Una vez que las claves de registro se agregaron exitosamente, se realizó un reinicio del sistema para asegurar que los cambios de configuración surtieran efecto en todos los servicios y procesos activos.
Se realizó un escaneo de Nessus con credenciales de seguimiento después del reinicio. La vulnerabilidad CVE-2013-3900 ya no apareció en los resultados del escaneo, confirmando que los pasos de mitigación fueron exitosos y que el sistema ya no es vulnerable a esta explotación de omisión de firma.
Dejar esta vulnerabilidad sin abordar podría conllevar varios riesgos significativos de seguridad y cumplimiento normativo:
Omisión de la verificación de firma digital
Los atacantes pueden incrustar código malicioso en ejecutables firmados sin invalidar la firma.
Evasión de herramientas de seguridad
El malware puede eludir antivirus, detección y respuesta de endpoints (EDR) y mecanismos de listas blancas de aplicaciones.
Escalada de privilegios y ejecución remota de código
La explotación puede llevar al compromiso del sistema, exfiltración de datos o movimiento lateral dentro de la red.
Ataques a la cadena de suministro de software
Usuarios desprevenidos pueden instalar software manipulado que parece estar firmado y ser de confianza.
Exposición regulatoria y legal
La no remediación puede violar requisitos de seguridad bajo HIPAA, NIST, PCI-DSS, CMMC y otros marcos.
CVE-2013-3900 presenta una amenaza seria al socavar la confianza en el software firmado. Mediante la detección rápida, la remediación a nivel de registro y la verificación a través de escaneo con credenciales, esta vulnerabilidad fue mitigada con éxito en el sistema afectado con Windows Server 2019.
Este proceso refuerza la importancia de: